Kerberoasting.

一种针对服务账户的离线口令破解攻击:申请 Kerberos 服务票据并对其加密部分进行离线破解,以还原明文密码。 它属于网络安全的 攻击与威胁 分类。

一种针对服务账户的离线口令破解攻击:申请 Kerberos 服务票据并对其加密部分进行离线破解,以还原明文密码。

Kerberoasting 利用了域内任意已认证用户都可以为任意 SPN 申请 TGS,而该 TGS 是以服务账户的密码哈希加密的这一特性。攻击者枚举 SPN,通常使用 Rubeus 或 Impacket 的 GetUserSPNs 请求 TGS 票据,然后将其导出并用 Hashcat 或 John the Ripper 离线破解。弱口令或长期未轮换的服务账户密码常常数小时即可被破出。MITRE ATT&CK 将其归为 T1558.003(Steal or Forge Kerberos Tickets: Kerberoasting)。常见防御包括:为服务账户使用长随机口令或 gMSA、仅启用 AES Kerberos、避免在特权账户上设置 SPN,并对大量使用 RC4 加密的 TGS 请求告警。

针对 Kerberoasting 的防御通常结合技术控制与运营实践,详见上方完整定义。